Blog: Auf dem Weg zu umfassender E-Mail-Verschlüsselung, Etappe 2

03.12.2015

E-Mail-Verschlüsselung intern, extern und auf Mobilgeräten ist nur der Beginn. Finden Sie heraus, welche zusätzlichen Herausforderungen warten.

Letzte Woche haben wir uns einige Beispiele angeguckt, wie E-Mail-Verschlüsselung auf echte Anwendungsfälle des Unternehmensalltags angewendet werden kann. Mit Hilfe von ‚Joe CIO’ und seinem Arbeitgeber, der ‚Weitblick AG’, habe ich gezeigt, was Unternehmen tun müssen, um die häufigsten Szenarien abzudecken, auf die sie üblicherweise treffen.

Aber falls Joe denkt, seine Arbeit sei nun getan, da er die Anforderungen an externe, interne und mobile E-Mail-Verschlüsselung erfüllt hat, wartet eine Überraschung auf ihn. Denn dadurch ist zwar die Mehrheit der Anwendungsfälle abgedeckt, mit denen Unternehmen im täglichen Business konfrontiert werden, es sind aber bei weitem nicht die einzigen im Zusammenhang mit der Sicherung der E-Mail-Kommunikation.

Auf welche weiteren Wünsche von Kollegen muss Joe sich also gefasst machen?

Sicherer Versand grosser Anhänge

Schon stattet ‚Sally Sales’ Joe erneut einen Besuch ab. Sie hat das Problem, dass die Versicherungsunterlagen und -verträge, die ihre Mitarbeiter an die Kunden rausschicken, oft zu sehr grossen E-Mail-Anhängen führen.

Derzeit sind der E-Mail-Server und das Verschlüsselungsgateway nicht auf den Versand so grosser Dateien ausgelegt, so dass sich Joe überlegen muss, wie diese Dokumente trotzdem sicher an die Kunden geschickt werden können. Glücklicherweise gibt es auch hier Möglichkeiten.

Idealerweise sucht Sally eine Lösung, bei der ihr Vertriebsteam nicht in seinen gewohnten Arbeitsprozessen beeinträchtigt wird und noch nicht einmal vom E-Mail-Client in einen andere Anwendung wechseln muss. Glücklicherweise hat Joe auch dafür eine Antwort, da das Verschlüsselungsgateway ein zusätzliches Add-in für den Versand der grossen Dateien aus dem E-Mail-Client bietet. Dank der intuitiven Bedienung ist kein Schulungsaufwand nötig, worüber Sally wiederum sehr froh ist.

Integration mit verschiedenen Anwendungen

Sally ist gerade aus der Tür, schon steht auch ‚Petra Personal’ wieder in Joes Büro. Sie hat realisiert, dass die Standard-E-Mail-Lösung nicht die einzige Anwendung ist, über die ihre Personalabteilung personenbezogene Daten verschickt und empfängt.

Die Abteilung nutzt ein HR-Informationssystem, um die Personal-Prozesse zu managen. Das System verschickt eine Vielzahl an E-Mail-Benachrichtigungen an Weitblick-Angestellte, darunter Zeitpläne, Aufgabenlisten, Stundennachweise und auch die Lohnabrechnungen. Und die Angestellten schicken ebenfalls E-Mails an das System, zum Beispiel im Rahmen von Feedback- oder Genehmigungsschleifen. Sämtliche Kommunikation mit dem System sollte natürlich verschlüsselt erfolgen. Da die Anwendung selbst aber nicht in der Lage ist, E-Mails zu verschlüsseln, wurden diese bislang im Klartext übertragen.

Und das Personalverwaltungssystem ist nicht die einzige Anwendung, die Informationen unverschlüsselt verschickt. Das gleiche gilt für das CRM-System, das Sally und ihre Vertriebsmitarbeiter nutzen. Joe muss sich also etwas einfallen lassen. Nach einiger Suche kann Joe diese Sicherheitslücke durch Nutzung eines Proxys stopfen. Dieser Proxy sitzt zwischen der Applikation und dem Mailserver des Unternehmens und übernimmt die Ver- und Entschlüsselung der E-Mails, die er über einen TLS-gesicherten Tunnel mit der Applikation austauscht.

Archivierung verschlüsselter E-Mails

Joe hat endlich alle Anforderungen abgearbeitet, denn alle Fälle, in denen vertrauliche Informationen per E-Mail verschickt werden, sind nun abgesichert – jedenfalls denkt er das. Und auch ‚Carl Compliance’, sein Kollege aus der Rechtsabteilung, ist zufrieden, da dadurch die Risiken für die Weitblick AG minimiert und die Arbeitsbelastung seiner Mitarbeiter erheblich reduziert wurden. Allerdings hat Carl noch ein letztes Problem, das gelöst werden muss.

Im Rahmen von Compliance-Untersuchungen muss Carl manchmal auf einzelne E-Mails zugreifen. Aber da die E-Mails nun konsequent verschlüsselt werden, kann er das nur noch, nachdem er sie einzeln entschlüsselt hat, was die Suche nach einer bestimmten E-Mail nahezu unmöglich macht.

Auch hierfür braucht es einen Proxy, der sicherstellt, dass E-Mails zwar verschlüsselt archiviert werden, ihr Inhalt dank Indexierung aber trotzdem durchsuchbar ist. So findet Carl wonach er sucht, ohne zeitintensiv eine grosse Anzahl E-Mails einzeln entschlüsseln zu müssen.

E-Mail-Kommunikation durchgehend gesichert

Carl, Sally, Petra und Joes andere Kollegen sind zufrieden, dass sämtliche sensible E-Mails nun verschlüsselt werden und zwar ohne, dass die Nutzerfreundlichkeit darunter leidet. Und Joe kann endlich die Füsse hochlegen, zufrieden und in dem Wissen, dass sämtliche E-Mail-Kommunikation der Weitblick AG nun durchgehend gesichert wird.

Auf die gleichen Herausforderungen treffen viele andere Unternehmen auch. Folgen sie dem Beispiel der Weitblick AG, können auch sie sich darauf verlassen, dass ihre Informationen so sicher wie möglich sind.

von Marcel Mock, CTO, totemo ag